O Controlador é a pessoa jurídica que realiza a coleta dos dados, enquanto o Operador é o responsável por armazenar esses dados em servidores físicos.

O Operador é a pessoa natural ou jurídica que toma as decisões sobre o tratamento dos dados, enquanto o Controlador apenas executa as tarefas conforme as ordens do Operador.

O Controlador é quem define a finalidade e os meios de tratamento de dados pessoais, e Operador realiza o tratamento em nome do Controlador, seguindo suas instruções.

O Operador é o responsável por garantir a segurança e a integridade dos dados, e o Controlador é responsável por notificar a Autoridade Nacional de Proteção de Dados (ANPD) em caso de vazamentos.

Ambos, controlador e Operador, têm as mesmas responsabilidades perante a LGPD, sendo a diferença apenas uma questão de nomenclatura.

Após atingir a finalidade para a qual foram coletados, os dados pessoais devem ser eliminados, salvo se houver obrigação legal, regulatória ou outra base autorizada para sua conservação.

Os dados pessoais podem ser retidos indefinidamente, desde que armazenados em ambientes protegidos contra acesso não autorizado.

O controlador pode reter os dados pessoais para quaisquer fins, desde que informe o titular no momento da coleta.

A eliminação dos dados pessoais não é necessária quando esses dados forem utilizados para estudos realizados futuramente, independentemente da anonimização.

A LGPD não define nenhuma regra específica para o prazo de retenção dos dados pessoais, deixando essa decisão a critério da empresa.